建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
近日，網(wǎng)絡(luò)安全公司Kela發(fā)布了一份探索初始訪(fǎng)問(wèn)代理(Initial access brokers，簡(jiǎn)稱(chēng)IAB)市場(chǎng)的研究報(bào)告，結(jié)果發(fā)現(xiàn)訪(fǎng)問(wèn)被黑網(wǎng)絡(luò)的平均成本為5400美元。
創(chuàng)新互聯(lián)專(zhuān)注于企業(yè)成都全網(wǎng)營(yíng)銷(xiāo)推廣、網(wǎng)站重做改版、郊區(qū)網(wǎng)站定制設(shè)計(jì)、自適應(yīng)品牌網(wǎng)站建設(shè)、H5技術(shù)、成都商城網(wǎng)站開(kāi)發(fā)、集團(tuán)公司官網(wǎng)建設(shè)、成都外貿(mào)網(wǎng)站制作、高端網(wǎng)站制作、響應(yīng)式網(wǎng)頁(yè)設(shè)計(jì)等建站業(yè)務(wù)，價(jià)格優(yōu)惠性?xún)r(jià)比高，為郊區(qū)等各大城市提供網(wǎng)站開(kāi)發(fā)制作服務(wù)。
近年來(lái)，勒索軟件即服務(wù)(RaaS)團(tuán)體對(duì)初始訪(fǎng)問(wèn)代理非常感興趣，因?yàn)橥ㄟ^(guò)直接雇用他們或向他們支付訪(fǎng)問(wèn)目標(biāo)系統(tǒng)的費(fèi)用，能夠節(jié)省很多在目標(biāo)網(wǎng)絡(luò)中獲取立足點(diǎn)所需的時(shí)間、精力和費(fèi)用。
初始訪(fǎng)問(wèn)代理是指通過(guò)多種方式獲取對(duì)受害者網(wǎng)絡(luò)初始訪(fǎng)問(wèn)權(quán)限的個(gè)人或團(tuán)體。他們最慣用的手段就是通過(guò)暴力訪(fǎng)問(wèn)脆弱的遠(yuǎn)程桌面協(xié)議(RDP)或遠(yuǎn)程管理軟件。有時(shí)候，攻擊者還會(huì)利用系統(tǒng)中未修補(bǔ)的漏洞。不過(guò)，無(wú)論采用哪種方法，一旦成功獲得訪(fǎng)問(wèn)權(quán)限，這些代理人就可以將其轉(zhuǎn)售給其他人，有時(shí)還不止轉(zhuǎn)售一次。
對(duì)于網(wǎng)絡(luò)犯罪分子來(lái)說(shuō)，購(gòu)買(mǎi)現(xiàn)成的企業(yè)網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限的優(yōu)勢(shì)顯而易見(jiàn)：購(gòu)買(mǎi)者無(wú)需花時(shí)間嘗試識(shí)別受害者并獲得其遠(yuǎn)程訪(fǎng)問(wèn)權(quán)限，而是可以直接從選項(xiàng)菜單中根據(jù)收入、國(guó)家和部門(mén)挑選受害者，以及挑選需要的遠(yuǎn)程訪(fǎng)問(wèn)類(lèi)型。
正如網(wǎng)絡(luò)安全公司CrowdStrike所言，當(dāng)犯罪惡意軟件運(yùn)營(yíng)商購(gòu)買(mǎi)訪(fǎng)問(wèn)權(quán)限時(shí)，他們節(jié)省了很多識(shí)別目標(biāo)和獲取其訪(fǎng)問(wèn)權(quán)限的時(shí)間，從而有能夠的精力和財(cái)力去更多、更快地部署攻擊活動(dòng)，以實(shí)現(xiàn)更高的貨幣化潛力。
特別是對(duì)于使用勒索軟件的犯罪分子來(lái)說(shuō)，購(gòu)買(mǎi)訪(fǎng)問(wèn)權(quán)限的費(fèi)用可能只是獲取贖金的一小部分，但是卻幫他們省去了入侵受害者網(wǎng)絡(luò)所需的大量時(shí)間和精力。安全專(zhuān)家表示，從事大型狩獵活動(dòng)————摧毀大型目標(biāo)以尋求更大的贖金——的犯罪團(tuán)伙會(huì)尤為依賴(lài)初始訪(fǎng)問(wèn)代理來(lái)選擇目標(biāo)和獲取權(quán)限。
近年來(lái)，隨著使用機(jī)密鎖定惡意軟件攻擊者的需求日漸增大，初始訪(fǎng)問(wèn)代理的商業(yè)模式也不斷完善。那么，初始訪(fǎng)問(wèn)市場(chǎng)的現(xiàn)狀究竟如何?以色列威脅情報(bào)公司Kela審查了過(guò)去一年在可公開(kāi)訪(fǎng)問(wèn)的網(wǎng)絡(luò)犯罪論壇上出售的1,000個(gè)訪(fǎng)問(wèn)列表，據(jù)稱(chēng)其中至少有262個(gè)被確認(rèn)為“已出售”狀態(tài)。
根據(jù)這些訪(fǎng)問(wèn)列表，Kela發(fā)現(xiàn)了初始訪(fǎng)問(wèn)代理領(lǐng)域的10個(gè)關(guān)鍵趨勢(shì)：
1. 訪(fǎng)問(wèn)費(fèi)用經(jīng)濟(jì)實(shí)惠
Kela報(bào)告稱(chēng)，在2020年7月1日至2021年6月30日期間，遠(yuǎn)程訪(fǎng)問(wèn)網(wǎng)絡(luò)的平均價(jià)格為5,400 美元，而中位數(shù)價(jià)格為1,000美元。
訪(fǎng)問(wèn)權(quán)限平均售價(jià)為5,400美元，而受害者最近支付的贖金平均為137,000 美元
而根據(jù)勒索軟件響應(yīng)公司Coveware的數(shù)據(jù)顯示，今年第二季度受害者支付的平均贖金高達(dá)137,000美元。對(duì)比可見(jiàn)，直接購(gòu)買(mǎi)訪(fǎng)問(wèn)權(quán)限對(duì)于犯罪分子而言確實(shí)是經(jīng)濟(jì)快捷的選擇。
2. 遠(yuǎn)程桌面協(xié)議(RDP)和虛擬網(wǎng)絡(luò)憑據(jù)受沖擊嚴(yán)重
遠(yuǎn)程桌面協(xié)議和虛擬網(wǎng)絡(luò)憑據(jù)是初始訪(fǎng)問(wèn)代理提供的最常見(jiàn)的訪(fǎng)問(wèn)類(lèi)型。但除此之外，他們也提供其他類(lèi)型的訪(fǎng)問(wèn)——例如，通過(guò)遠(yuǎn)程管理軟件，許多托管服務(wù)提供商會(huì)將其安裝在他們?yōu)榭蛻?hù)管理的端點(diǎn)上。
買(mǎi)方出售遠(yuǎn)程監(jiān)控和管理軟件的訪(fǎng)問(wèn)權(quán)限
一些攻擊者還會(huì)提供對(duì)特定類(lèi)型環(huán)境的訪(fǎng)問(wèn)權(quán)限。例如，VMWare的ESXi服務(wù)器最近在勒索軟件攻擊者中就非常流行。
買(mǎi)家購(gòu)買(mǎi)VMWare的ESXi服務(wù)器root訪(fǎng)問(wèn)權(quán)限
事實(shí)上，REvil(又名Sodinokibi)、DarkSide以及現(xiàn)在的BlackMatter都構(gòu)建了能夠加密鎖定運(yùn)行ESXi服務(wù)器的Linux設(shè)備的惡意軟件，以便可以掌握他們的數(shù)據(jù)以索取贖金。
3. 活動(dòng)目錄(Active Directory)憑據(jù)：超值之選
Kela在報(bào)告中指出，初始訪(fǎng)問(wèn)代理提供的最有價(jià)值的產(chǎn)品包括域管理員權(quán)限。試想一下，一旦擁有了對(duì)Microsoft Active Directory的域管理員訪(fǎng)問(wèn)權(quán)限，也就意味著你可以使用IT工具將加密鎖定惡意軟件分發(fā)到組織內(nèi)的每個(gè)端點(diǎn)。一次強(qiáng)行加密更多系統(tǒng)可能會(huì)增加受害者支付贖金以換取解密工具承諾的機(jī)會(huì)。
4. 首要攻擊：美國(guó)組織
Kela發(fā)現(xiàn)，調(diào)查列表中的遠(yuǎn)程訪(fǎng)問(wèn)憑據(jù)數(shù)量最多的是美國(guó)，占據(jù)整個(gè)列表的28%，其次是法國(guó)、英國(guó)、澳大利亞、加拿大、意大利、巴西、西班牙、德國(guó)和阿拉伯聯(lián)合酋長(zhǎng)國(guó)。
5. 重點(diǎn)受災(zāi)行業(yè)：制造行業(yè)
調(diào)查發(fā)現(xiàn)，列表所涉組織中最多來(lái)自制造行業(yè)，其次是教育、IT、金融服務(wù)、政府和醫(yī)療保健。這些代理不僅會(huì)出售對(duì)大型企業(yè)的訪(fǎng)問(wèn)權(quán)限，小公司也不例外，只是售價(jià)要明顯便宜很多，通常為100-200美元。
6. 通常專(zhuān)盯一位買(mǎi)家推銷(xiāo)
一些代理會(huì)列出他們出售的訪(fǎng)問(wèn)權(quán)限的樣本，并告訴買(mǎi)家聯(lián)系他們以獲取更多詳細(xì)信息。
單個(gè)買(mǎi)家尋求大量訪(fǎng)問(wèn)權(quán)限的兩個(gè)帖子，包括“來(lái)自一級(jí)國(guó)家/地區(qū)的70個(gè)Citrix訪(fǎng)問(wèn)權(quán)限”(左)和Active Directory管理員級(jí)別的訪(fǎng)問(wèn)權(quán)限(右)
這些代理通常傾向于讓一個(gè)買(mǎi)家購(gòu)買(mǎi)其所有正在出售的訪(fǎng)問(wèn)權(quán)限，如果攻擊成功，他們有時(shí)甚至?xí)螳@取一定比例的贖金。
7. 多種貨幣化策略
一些網(wǎng)絡(luò)訪(fǎng)問(wèn)代理似乎不僅出售訪(fǎng)問(wèn)權(quán)限，還會(huì)出售來(lái)自受害者環(huán)境的數(shù)據(jù)。例如，去年年底，一位代理就曾以4,000 美元的價(jià)格出售了巴基斯坦國(guó)際航空公司的訪(fǎng)問(wèn)權(quán)限。而在出售該航空公司的網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限一周后，該名代理又宣布將繼續(xù)出售航空公司網(wǎng)絡(luò)中的所有數(shù)據(jù)庫(kù)。在這起案件中，該代理就是利用他獲取到的航空公司網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限來(lái)竊取公司的數(shù)據(jù)，進(jìn)而采取兩種不同的方式來(lái)嘗試實(shí)現(xiàn)貨幣化。
如今，許多威脅情報(bào)公司開(kāi)始監(jiān)視地下論壇以試圖獲取有關(guān)潛在受害者的詳細(xì)信息。雖然這是一項(xiàng)付費(fèi)服務(wù)，但通過(guò)這種監(jiān)控收集到的情報(bào)可以讓受害者能夠更快地鎖定他們可能錯(cuò)過(guò)的網(wǎng)絡(luò)入侵行為。
初始訪(fǎng)問(wèn)代理先是宣傳一家航空公司的訪(fǎng)問(wèn)權(quán)限，然后又出售15個(gè)據(jù)稱(chēng)來(lái)自巴基斯坦國(guó)際航空公司的數(shù)據(jù)庫(kù)
出售網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限和發(fā)生勒索軟件攻擊之間存在時(shí)間差，把握住這種時(shí)間差盡早檢測(cè)出企業(yè)網(wǎng)絡(luò)中的漏洞，您的安全團(tuán)隊(duì)就越有可能緩解該問(wèn)題并防止勒索軟件攻擊造成進(jìn)一步損害。
8. 代理對(duì)白宮舉動(dòng)作出回應(yīng)
最近幾個(gè)月，勒索軟件已經(jīng)成為政治上的“燙手山芋”。拜登政府要求俄羅斯政府嚴(yán)厲打擊從俄羅斯境內(nèi)襲擊美國(guó)目標(biāo)的犯罪分子，并威脅稱(chēng)，如果俄羅斯當(dāng)局不盡快采取行動(dòng)，將直接瓦解他們。
作為回應(yīng)，一些網(wǎng)絡(luò)犯罪論壇——包括俄語(yǔ)Exploit和XSS論壇——已宣布禁止勒索軟件通信，盡管安全專(zhuān)家表示此類(lèi)禁令并不總能得到嚴(yán)格執(zhí)行。同樣地，一些初始訪(fǎng)問(wèn)代理似乎對(duì)列出某些類(lèi)型的受害者(例如醫(yī)療保健實(shí)體)也變得更加謹(jǐn)慎。
9. 私密通信仍在繼續(xù)
Kela報(bào)告稱(chēng)，雖然大型網(wǎng)絡(luò)犯罪論壇已經(jīng)明令禁止勒索軟件宣傳，但是這種銷(xiāo)售很可能仍在幕后進(jìn)行。例如，去年，隨著大流行的持續(xù)蔓延，一些代理“發(fā)布醫(yī)療保健部門(mén)的受害者，然后受到了其他用戶(hù)批評(píng)后刪除了報(bào)價(jià)”，但不能排除他們后來(lái)通過(guò)其他途徑出售了這些針對(duì)醫(yī)療保健行業(yè)的訪(fǎng)問(wèn)權(quán)限的可能性。
初始訪(fǎng)問(wèn)代理場(chǎng)景從來(lái)都不是靜態(tài)的。安全專(zhuān)家表示，新的賣(mài)家不斷出現(xiàn)，為更多新的受害者做宣傳。但想要了解有多少組織受到攻擊可能很困難，因?yàn)椴⒎撬蓄?lèi)型的訪(fǎng)問(wèn)都會(huì)發(fā)布在網(wǎng)絡(luò)犯罪論壇上。而且即便他們這樣做了，代理們也經(jīng)常會(huì)掩飾受害者的身份，因?yàn)?，很明顯，他們不想受害者得到風(fēng)聲。
雖然一些論壇確實(shí)限制了對(duì)勒索軟件的討論，但潛在的初始訪(fǎng)問(wèn)代理買(mǎi)家當(dāng)然不必說(shuō)明他們購(gòu)買(mǎi)此類(lèi)訪(fǎng)問(wèn)權(quán)限的目的就是為了實(shí)施勒索軟件攻擊。此外，雖然Exploit和XSS禁止管理員為DarkSide和REvil等團(tuán)體持有的帳戶(hù)提供服務(wù)，但這些團(tuán)體可以簡(jiǎn)單地以其他名稱(chēng)創(chuàng)建新帳戶(hù)，以繼續(xù)購(gòu)買(mǎi)訪(fǎng)問(wèn)權(quán)限或建立關(guān)系。
10. 與犯罪團(tuán)體確立合作關(guān)系
許多成熟的代理似乎已經(jīng)與特定的犯罪團(tuán)體或勒索軟件運(yùn)營(yíng)的附屬機(jī)構(gòu)確立了合作關(guān)系，這也使得他們不必在公共網(wǎng)絡(luò)犯罪論壇上宣傳要出售的“訪(fǎng)問(wèn)權(quán)限”，而是通過(guò)私密通信就能直接實(shí)現(xiàn)資源共享。
與前幾個(gè)季度相比，第二季度的訪(fǎng)問(wèn)列表數(shù)量有所下降，這可能正反映了這種轉(zhuǎn)變。除了與犯罪團(tuán)伙建立合作外，許多代理還會(huì)在網(wǎng)絡(luò)犯罪論壇上列出部分詳細(xì)信息，并告訴潛在買(mǎi)家私下溝通以獲取更多詳細(xì)信息。
勒索軟件運(yùn)營(yíng)商為獲取“獨(dú)家業(yè)務(wù)關(guān)系”——或至少是優(yōu)先購(gòu)買(mǎi)權(quán)——尋找訪(fǎng)問(wèn)代理，也是一種至少在去年年底開(kāi)始出現(xiàn)的新趨勢(shì)。就在去年年底，DarkSide勒索軟件即服務(wù)團(tuán)體在網(wǎng)絡(luò)犯罪論壇上發(fā)布消息稱(chēng)，它希望找到可以讓其接觸年收入至少為4億美元的美國(guó)企業(yè)的訪(fǎng)問(wèn)代理。
DarkSide運(yùn)營(yíng)商在俄語(yǔ)網(wǎng)絡(luò)犯罪論壇上發(fā)布的尋找訪(fǎng)問(wèn)代理的帖子
安全公司Trend Micro的網(wǎng)絡(luò)犯罪研究主管Bob McArdle表示，許多大型勒索軟件運(yùn)營(yíng)商似乎已經(jīng)建立了廣泛的連接列表并確立了完善的關(guān)系拓?fù)洹ｋm然這些勒索軟件團(tuán)體可能隨時(shí)瓦解，但沒(méi)有什么可以阻止運(yùn)營(yíng)商和附屬機(jī)構(gòu)在他們離開(kāi)或加入新團(tuán)體時(shí)攜帶這些聯(lián)系，并將其繼續(xù)應(yīng)用于新的團(tuán)體之中。
本文翻譯自：https://www.bankinfosecurity.com/10-initial-access-broker-trends-cybercrime-service-evolves-a-17249如若轉(zhuǎn)載，請(qǐng)注明原文地址。
本文標(biāo)題：從初始訪(fǎng)問(wèn)代理（IAB）趨勢(shì)看網(wǎng)絡(luò)犯罪服務(wù)的演變
網(wǎng)頁(yè)鏈接：http://www.dlmjj.cn/article/dphogeo.html
